Het huidige model voor internetveiligheid is kapot. Het bestaat uit het aanschaffen en inzetten van veel stand-alone tools, elk met een eigen console, om logboeken of verkeer te analyseren en afwijkingen op te sporen die bedreigingen kunnen zijn. In dit model is het aan elke beveiligingsanalist om met andere analisten te communiceren om te bepalen of de individuele detectie van elke tool (die er op zichzelf misschien goedaardig uitzien), kan correleren met andere detecties van andere tools om een complexe aanval te onthullen.
Dit model dwingt ondernemingen om complexe beveiligingsstapels te creëren die bestaan uit SIEM, SOAR, EDR, NDR en meer, met als doel de onderneming te instrumenteren, bedreigingen te identificeren, op bedreigingen te reageren en risico's te beheersen. Het aanschaffen van al deze tools en het beheren van hun licenties is complex en duur, en de handmatige correlatie die nodig is om de detecties van elke tool te vergelijken, laat veel hiaten achter in de algehele beveiligingsinfrastructuur.
Analisten worden door deze systemen ook vaak gebombardeerd met valse positieven, wat leidt tot ‘alerte vermoeidheid’ en ontevredenheid over het werk. Zelfs ondernemingen die verklaren tevreden te zijn met hun bestaande SIEM en andere tools zullen toegeven dat de hoeveelheid tijd en energie die ze hebben gestoken in het opstaan van een multi-tool beveiligingsinfrastructuur niet de vereiste resultaten oplevert.
De zaak voor XDR
XDRof uitgebreide detectie en responsis een allesomvattende definitie geworden voor elke technologie die detectie en respons uitvoert, omdat in het acroniem X eigenlijk een variabele is. Hoewel X kan staan voor "Endpoint+" of "Network+", wordt daarmee voorbijgegaan aan de huidige problemen van bedrijven met gefragmenteerde tools, ongecorreleerde data en alertmoeheid. Het hele doel van XDR Het doel is om deze pijn aan te pakken, en daarom moet X "Alles" betekenen. Alles impliceert dan een platformbenadering om het volledige aanvalsoppervlak te bestrijken door middel van detectie en respons.
Deze platformbenadering kan het huidige gebroken model repareren door afzonderlijke tools om te zetten in een uniforme set tools, ongecorreleerde data om te zetten in een dynamische, gecorreleerde weergave van het aanvalsoppervlak en alertmoeheid om te zetten in gemoedsrust. Hoe een technologie dit doel bereikt, is de belangrijkste architectuurvraag. Er zijn twee typen XDR Vandaag: Open en Native.
Open versus native XDR
- Open XDR wordt geleverd via een open architectuur die in staat is gebruik te maken van de telemetrie- en reactiemogelijkheden van bestaande beveiligingstools over het hele aanvalsoppervlak
- Native XDR wordt geleverd vanuit de securitytoolsuite van één leverancier die telemetrie en respons biedt over het aanvalsoppervlak
Ongeacht de architectonische benadering van een XDR Om in aanmerking te komen voor dit platform, moet het aan de volgende technische eisen voldoen. XDR:
- Inzetbaarheid - Cloud-native microservice-architectuur voor schaalbaarheid, beschikbaarheid en implementatieflexibiliteit
- Datafusie - Genormaliseerde en verrijkte gegevens over het gehele aanvalsoppervlak, inclusief netwerk, cloud, endpoints, applicaties en identiteit
- Correlatie - Met hoge betrouwbaarheid gecorreleerde detecties over meerdere beveiligingstools
- Intelligente respons - Een klik of geautomatiseerde reactie vanaf hetzelfde platform
Een veel voorkomende misvatting over Open versus native XDR is dat het elkaar uitsluitende typen zijn. XDRDat zijn ze niet. Een XDR Een platform kan volledig open source en gedeeltelijk native zijn. Bijvoorbeeld: XDR platform kan een paar ingebouwde tools van zijn leverancier hebben terwijl hij openlijk integreert met de bestaande tools van de andere leveranciers. Dit maakt een Composable Security-strategie mogelijk, de mogelijkheid om gebruik te maken van de bestaande tools terwijl de klant een aantal ervan kan stopzetten wanneer en waar ze dat nodig achten.
De samenstelling van Open vs. Native XDR De aanpak die een platform hanteert, is een middel tot een doel: met name hoe het platform detectie en respons uitvoert over het gehele aanvalsoppervlak. Kopers van XDR Ze moeten de architectonische aanpak zien als een middel om een doel te bereiken en de beste beslissing nemen voor hun onderneming.
Het ideale XDR is open
Er zullen enkele ondernemingen zijn die er geen probleem mee hebben om hun volledige beveiligingsstapel over te dragen aan een enkele leverancier en een gesloten, Native XDR platform. Er zullen ook enkele ondernemingen zijn die er minder om geven het hele aanvalsoppervlak te bedekken, en bijvoorbeeld alleen detectie en respons voor hun eindpunten willen. In dit geval moeten ze een EDR-gebaseerde native XDR platform.
Voor de meeste ondernemingen is een Open XDR platform Dit moet als topprioriteit worden beschouwd. Waarom? Omdat geen enkele leverancier ooit de beste cloud-, endpoint-, netwerk-, identiteits-, enzovoort-tools zal kunnen creëren of verwerven. Daarom is een native-only oplossing essentieel. XDR Het platform zal niet het beste in zijn soort zijn. Bovendien is het zeer waarschijnlijk dat de onderneming beschikt over al aanzienlijk kapitaal en moeite geïnvesteerd in het implementeren van bestaande beveiligingshulpmiddelen - het zal die investeringen niet willen opgeven, dus een gesloten, Native XDR oplossing zou geen interactie hebben met die tools en zou niet het volledige aanvalsoppervlak bij die onderneming veroveren. Als een Open XDR platform heeft een aantal native attributen om bepaalde gebieden van het aanvalsoppervlak voor groeiende ondernemingen te dekken, geweldig. Maar het moet eerst Open zijn.
Uiteindelijk, als een onderneming een composable security-strategie wil definiëren en uitvoeren en alle voordelen daarvan wil benutten, XDRde technische vereisten van 's geleverd via een platform, een volledig Open XDR platform is de enige realistische manier om dat te doen.
